Richtig, das ist (leider) das, was ich jetzt tue.
Ich bin wirklich neugierig, wie Sie dieses Dokument dann gelesen haben. Ich meine, 3.2 Authentifizierungs-Cookies legt es ziemlich klar dar:
Authentifizierungs-Cookies werden verwendet, um den Benutzer nach der Anmeldung zu identifizieren (Beispiel: auf einer Online-Banking-Website). Diese Cookies sind erforderlich, damit sich Benutzer bei wiederholten Besuchen der Website authentifizieren und auf autorisierte Inhalte zugreifen können, wie z. B. die Anzeige ihres Kontostands, Transaktionen usw. Authentifizierungs-Cookies sind in der Regel Sitzungs-Cookies. Die Verwendung von persistenten Cookies ist ebenfalls möglich, aber sie dürfen nicht als identisch betrachtet werden, wie unten erläutert.
Erkennt die Notwendigkeit von Authentifizierungs-Cookies (nicht zu verwechseln mit technischen Cookies). Stellt ausdrücklich fest, dass die Lebensdauer dieser Cookies, d. h. Sitzung vs. persistent, impliziert, dass sie unterschiedlich behandelt werden müssen.
Wenn sich ein Benutzer anmeldet, fordert er ausdrücklich den Zugriff auf Inhalte oder Funktionalitäten an, für die er autorisiert ist. Ohne die Verwendung eines in einem Cookie gespeicherten Authentifizierungs-Tokens müsste der Benutzer bei jeder Seitenanforderung einen Benutzernamen/ein Passwort angeben. Daher ist diese Authentifizierungsfunktion ein wesentlicher Bestandteil des Informationsgesellschaftsdienstes, den er ausdrücklich anfordert. Als solche sind diese Cookies gemäß Kriterium B ausgenommen.
Es ist jedoch wichtig zu beachten, dass der Benutzer nur den Zugriff auf die Website und bestimmte Funktionalitäten zur Ausführung der von ihm benötigten Aufgabe angefordert hat. Der Akt der Authentifizierung darf nicht als Gelegenheit genutzt werden, den Cookie für andere sekundäre Zwecke wie Verhaltensüberwachung oder Werbung ohne Zustimmung zu verwenden.
Anmeldung bedeutet, dass der Benutzer der Anmeldung zugestimmt hat, nicht aber der Nutzung von Authentifizierungs-Cookies für andere Arten der Datennutzung.
Persistente Anmelde-Cookies, die ein Authentifizierungs-Token über Browsersitzungen hinweg speichern, sind nicht unter Kriterium B ausgenommen. Dies ist ein wichtiger Unterschied, da der Benutzer sich möglicherweise nicht sofort bewusst ist, dass das Schließen des Browsers seine Anmeldeeinstellungen nicht löscht. Er kehrt möglicherweise zur Website zurück in der Annahme, anonym zu sein, obwohl er tatsächlich noch beim Dienst angemeldet ist. Die übliche Methode, eine Checkbox und einen einfachen Informationshinweis wie „Angemeldet bleiben (verwendet Cookies)“ neben dem Formular zu verwenden, wäre eine geeignete Möglichkeit, die Zustimmung einzuholen und somit die Notwendigkeit einer Ausnahme in diesem Fall zu entkräften.
Kriterium B lautet:
der Cookie ist „zwingend erforderlich, damit der Anbieter eines Informationsgesellschaftsdienstes, der vom Teilnehmer oder Nutzer ausdrücklich angefordert wurde, den Dienst erbringen kann“.
Der Nutzer muss also seine Zustimmung geben, bevor persistente Authentifizierungs-Cookies gesetzt werden dürfen. Grund: Man kann nicht davon ausgehen, dass ein Nutzer standardmäßig die Auswirkungen der persistenten Authentifizierung kennt.
Ja, die Gesetzgebung ist diffus und komplex, mit vielen verschiedenen Aktualisierungen über fast zwei Jahrzehnte. Und selbst die offiziellen EU-Websites, die ich mir angesehen habe, scheinen sehr unübersichtlich zu sein, wenn es darum geht, wie sie mit Cookies umgehen und ihre Richtlinien darlegen.